Gestion d'erreurs sécurisée — ne pas exposer d'informations sensibles

Dans tout code de gestion d'erreurs généré :

**Règles de sécurité :**
1. **Message utilisateur** : Message générique ne révélant aucune information technique.
2. **Logging interne** : Détails complets (stack trace, contexte) loggués côté serveur uniquement.
3. **Codes d'erreur** : Utilise des codes d'erreur opaques — pas de messages révélant la structure interne.

**Exemple :**
```javascript
// ❌ Dangereux
catch (e) { res.send(e.message) }

// ✅ Sécurisé
catch (e) {
  logger.error('DB query failed', { error: e, userId });
  res.status(500).json({ error: 'Une erreur est survenue', code: 'ERR_500' });
}
```

Ne génère jamais de gestion d'erreurs qui expose des stack traces, des chemins de fichiers ou des requêtes SQL en production.